UNIVERSIDADE ESTADUAL PAULISTA “JÚLIO DE MESQUITA FILHO”

ASSESSORIA DE INFORMÁTICA

Relatório Técnico

sobre

Redes Sem Fio

Versão 1.0

Março de 2008

1
Índice
1.Resumo...........................................................................................................................3

2.Introdução.......................................................................................................................3

3.Características técnicas do padrões 802.11..................................................................3

3.1 Padrão 802.11b.......................................................................................................3

3.2 Padrão 802.11a.......................................................................................................5

3.3 Padrão 802.11g.......................................................................................................5

3.4 Considerações finais...............................................................................................5

4.Análise do local (Site Survey).........................................................................................6

4.1 Considerações iniciais.............................................................................................6

4.2 Problemas...............................................................................................................6

4.3 Localização dos APs...............................................................................................7

4.4 Requisitos de cobertura..........................................................................................7

5.Segurança.......................................................................................................................9

5.1 Service Set Identifier (SSID)...................................................................................9

5.2 Autenticação por endereço MAC..........................................................................10

5.3 WEP (Wired Equivalent Privacy)...........................................................................10

5.4 WPA (Wi-Fi Protected Access)..............................................................................11

5.4.1 WPA com PSK (Pre Shared Key)..................................................................13

5.4.2 LEAP (Lightweight Extensible Authentication Protocol)................................13

5.4.3 PEAP (Protected Extensible Authentication Protocol)...................................14

5.4.4 EAP-FAST......................................................................................................15

5.4.5 EAP-TLS........................................................................................................15

5.4.6 Comparativo entre os métodos EAP.............................................................16

5.5 WPA2 (Wi-Fi Protected Access 2).........................................................................16

6.Conclusão.....................................................................................................................17

2
1.Resumo

Este relatório tem como premissa abordar as principais características técnicas referentes
às redes sem fio e pode ser utilizado por alunos, professores e funcionários da UNESP
que desejam obter maiores informações sobre o assunto.

Com base neste documento é que foi estabelecida a “Norma Técnica para o Oferecimento
de Redes Sem Fio na UNESP”, gerada pelo Grupo de Redes de Computadores da
Assessoria de Informática.

2.Introdução

As redes sem fio chegaram com o objetivo claro de proporcionar mobilidade e flexibilidade
para as pessoas e instituições, contribuindo assim para um ganho de produtividade e
satisfação dos seus usuários, pois as informações passam a estar disponíveis de forma
fácil dentro da área coberta pela tecnologia. Contudo, novos avanços tecnológicos
também trazem consigo novos problemas, sendo que, em redes sem fio, o maior deles é
a preocupação com a segurança das informações.

Considerando que as informações trafegam pelo ar sem a necessidade de fio para

condução, basta que um usuário não-legítimo esteja dentro da área de cobertura para que
ele possa capturar e manipular as informações. Portanto, a segurança é fator crucial que
deve ser entendido, discutido e solucionado para que as redes sem fio alcancem seu
objetivo.

Os itens que serão descritos a seguir fazem parte dos procedimentos que deverão ser
adotados para a implementação de redes sem fio seguras nas unidades da UNESP.

3.Características técnicas do padrões 802.11

3.1 Padrão 802.11b

 A transmissão é feita por ondas eletromagnéticas de radiofreqüência (RF) na faixa
de 2,4 GHz, portanto está sujeito a interferências de dispositivos que utilizam esta
mesma faixa (telefones sem-fio, forno de microondas, dispositivos bluetooth, etc).
 A taxa de transmissão máxima é de 11Mbps, mas pode operar em taxas menores
de 5.5Mbps, 2Mbps e 1Mbps. Lembre-se que o ponto de acesso (AP) não trabalha
em taxas intermediárias, como 8Mbps, por exemplo.
 Possui 11 canais de comunicação e mais dois no Brasil (canais 12 e 13).
 A diferença das freqüências centrais dos canais varia apenas em 5Mhz e largura
de banda de cada canal é de 22Mhz. Portanto, a utilização de canais próximos em
APs vizinhos pode apresentar interferência.
 Apenas os canais 1, 6 e 11 não são sobrepostos (overlapping).
 O tecnologia DSSS (Direct Sequence Spread Spectrum) é utilizada para alcançar
as taxas de transmissão possíveis,sendo que para cada uma delas é utilizada uma
técnica de modulação (BPSK – 1Mbps, QPSK – 2Mbps e CCK – 5.5 e 11 Mbps).
 A potência máxima na saída do transmissor (EIRP) permitida por lei (ANATEL) para

3
 a faixa de freqüência de 2,4 GHz é de no máximo 36 dBm (400 mW). Lembrando
que o cálculo do EIRP é:
EIRP = Pt + G – p sendo,
Pt: potência do transmissor
G: ganho da antena
p: perda nos cabos
 Em localidades com população superior a 500 mil habitante, as estações com EIRP
superior a 36 dBm (400 mW) não podem operar sem autorização da ANATEL. Em
localidades com menos de 500 mil habitantes não é necessário a autorização e
não há limite de EIRP. Resolução 365 de 10/05/2004.
 Em aplicações ponto-a-ponto, para cada 3 dB de ganho na antena que ultrapassar
6dBi, deve-se reduzir 1 dB na potência do transmissor.

1 Mbps

2 Mbps

AP
5.5 Mbps

11 Mbps

Figura 1 – Taxa de transmissão na área de cobertura de um AP 802.11b.

Freqüência Estados Europa e

Canal Faixa de freqüência
central Unidos Brasil
1 2412 MHz 2401 – 1423 MHz X X
2 2417 MHz 2406 – 2428 MHz X X
3 2422 MHz 2411 – 2433 MHz X X
4 2427 MHz 2416 – 2438 MHz X X
5 2432 MHz 2421 – 2443 MHz X X
6 2437 MHz 2426 – 2448 MHz X X
7 2442 MHz 2431 – 2453 MHz X X
8 2447 MHz 2436 – 2458 MHz X X
9 2452 MHz 2441 – 2463 MHz X X
10 2457 MHz 2446 – 2468 MHz X X
11 2462 MHz 2451 – 2473 MHz X X
12 2467 MHz 2456 – 2478 MHz X
13 2472 MHz 2461 – 2483 MHz X
OBS.: a largura de banda de cada canal é de 22MHz. Canais 1, 6 e 11
não se sobrepõem.
Tabela1 – canais do padrão 802.11b

4
3.2 Padrão 802.11a
 A transmissão é realizada utilizando a faixa de freqüência de 5 GHz, que é
subdividida em 3 outras faixas: U-NII1 (5150 a 5250 MHz), U-NII2 (5250 a 5350
MHz) e U-NII3 (5725 a 5825 MHz).
 A taxa de transmissão máxima é de 54Mbps. As outras taxas possíveis são
48Mbps, 36Mbps, 24Mbps, 18Mbps, 12Mbps, 9Mbps e 6Mbps.
 Está menos suscetível a interferências, pois há menos dispositivos que operam na
freqüência de 5GHz e também devido a distribuição dos canais.
 Por utilizarem a faixa de freqüência de 5 GHz os dispositivos deste padrão são
incompatíveis com os que operam na faixa de 2,4 GHz.
 Possui 12 canais, quatro para cada faixa U-NII. Os canais U-NII1 são utilizados
exclusivamente em ambientes internos devido à regulamentação, já o U-NII2 e U-
NII3 podem ser utilizados em ambos.
 Dado que diferença entre as freqüências centrais dos canais é de 20MHz e a
largura de banda é de 16,6 MHz, não há sobreposição de canais, portanto, não há
interferência de um canal sobre outro.
 Utiliza a tecnologia OFDM (Orthogonal Frequency Division Multiplexing) para
transmitir as informações, sendo que para atingir as taxas de transmissão
possíveis, são utilizadas técnicas de modulação distintas (BPSK – 6 e 9 Mbps,
QPSK – 12 e 18 Mbps, 16-QAM – 24 e 36 Mbps e 64-QAM – 48 e 54 Mbps).
 O EIRP máximo em aplicações ponto-a-ponto para a freqüência de 5 GHz é
200mW para U-NII1 e U-NII2. Em U-NII3 pode-se fazer uso de antenas de
transmissão com ganho direcional superior a 6 dBi sem necessidade de reduzir a
potência máxima na saída do transmissor. Resolução 365 de 10/05/2004: Art. 43,
46 e 47.
 É uma alternativa a ser considerada quando o espectro em 2,4GHz está poluído.

3.3 Padrão 802.11g

 Este padrão, por utilizar a faixa de freqüência de 2,4 GHz, possui grande parte das
características apresentadas no padrão 802.11b. As principais diferenças serão
apresentadas a seguir.
 A taxa de transmissão máxima é de 54 Mbps. Consegue atingir esta taxa pois
utiliza a tecnologia OFDM, que possui técnicas de modulação mais eficientes.
 As taxas menores são as mesmas dos padrões 802.11b somadas as do 802.11a
com suas respectivas técnicas de modulação.
 Possui compatibilidade com dispositivos do padrão 802.11b, ou seja, dispositivos b
e g conseguem se comunicar. O problema é que dispositivos b dentro da área g
reduzem o desempenho da rede. O conceito é similar às redes ethernet e fast
ethernet. Se possível esta configuração não deve ser utilizada.

3.4 Considerações finais

 Os APs são dispositivos half-duplex, portanto, eles transmitem e recebem
informações apenas de uma estação por vez. Diversas estações conectadas em
apenas um AP pode resultar em queda de performance da rede sem fio.

5
  O sistemas que operam na fixa de 2,4 GHz e 5 GHz são considerados de radiação
restrita (secundário), portanto estão isentos de licenciamento para instalação e
funcionamento. Caso estes sistemas venham a prejudicar os de caráter primário,
eles deverão interromper sua operação até a solução do problema.
 Os dispositivos que operam nestas faixas devem obrigatoriamente possuir
certificação emitida pela ANATEL.

4.Análise do local (Site Survey)

4.1 Considerações iniciais

A análise do local é importante para levantar informações que ajudarão a determinar a

quantidade e a localização dos APs, além de determinar e amenizar a influência negativa
de fatores externos. O objetivo é oferecer cobertura adequada e boa performance de
acesso aos usuários.

A seguinte metodologia de análise é proposta:

 Avaliação: identificar os dispositivos que serão utilizados (notebooks, telefones sem
fio), os tipos de dados que vão trafegar (dados, voz, vídeo), o comportamento do
usuário (fixo ou em movimento). Estas informações serão úteis para determinar as
necessidades do backbone.
 Quantidade e localização dos APs: o número de usuários e dispositivos e a banda
desejada determina a quantidade de APs. Algumas ferramentas produzem
indicadores (força do sinal, nível de ruído, relação sinal ruído, etc) e relatórios do
espectro, que auxiliam no planejamento dos APs. Ex. AirMagnet Surveyour,
NetStumbler, AirSnort, etc.
 Desenvolvimento: os APs devem ser instalados conforme análise realizada para
que a propagação das ondas de rádio sejam reproduzidas conforme analisado.
 Verificação: utilizar as ferramentas citadas para verificar o comportamento e a
configuração dos APs.
Antes de realizar a análise, deve-se preparar todo o material necessário para certificar se
os equipamentos se encontram operacionais. Garantir que as baterias dos dispositivos
foram carregadas e um meio para posicionar o AP em locais altos.
Uma das decisões mais críticas é a definição do(s) protocolo(s) (b/a/g) que será(ão)
suportados(s). É importante considerar as características de cada um deles de tal forma a
atender as necessidades dos usuários sem prejudicar a qualidade e a performance
desejadas.
É muito importante documentar a análise realizada, a fim de registrar todas as
informações colhidas durante a análise.

4.2 Problemas
Em ambientes internos, os diferentes tipos de superfícies e a presença de certos
materiais afetam de alguma forma a intensidade do sinal.
 Poços de elevadores, escadas e colunas bloqueiam o sinal, por serem áreas
reforçadas da construção;

6
  Salas de distribuição de energia elétrica absorvem o sinal;
 Escritórios absorvem o sinal devido a presença de materiais metálicos (ex:
armários de arquivos).
Ficar atento à interferência causada por canais adjacentes (sobreposição de canais) e
considerar que pode haver falha em um AP resultando em perda de conectividade na
região de operação do AP falho. Aumentar o número de APs pode amenizar o impacto da
falha, pois a área descoberta pode ser atendida pelos APs vizinhos utilizando taxas de
transmissão mais baixas.

4.3 Localização dos APs

Pontos de acesso devem ser colocados em locais com o melhor campo de visão possível.
Eles não devem ser colocados nas extremidades da construção para que o sinal não
ultrapasse os limites do local.
Salas de reunião devem conter um AP exclusivo apenas para os participantes presentes,
devido a necessidade de garantir uma performance de acesso que não prejudique o
andamento da reunião. O AP deve ser ligado no início e desligado no final da reunião,
além disso, a intensidade do sinal deve ficar restrita aos limites da sala.
Ao utilizar vários APs em um mesmo ambiente, definir a taxa de transmissão mínima
desejada e realizar o planejamento do APs de forma que a área desejada seja totalmente
coberta com a taxa mínima que foi definida.
É interessante ter uma planta do local com a localização dos APs e as áreas cobertas e
descobertas pela rede sem fio. Algumas aplicações mais elaboradas, como o AirMagnet
por exemplo, permitem que as plantas sejam carregadas para serem utilizadas
juntamente com suas ferramentas de análise.
Se possível, tirar fotos do local de instalação e associar o ponto de instalação dos APs
com objetos fixos. Objetos móveis podem ser retirados e no momento da instalação pode-
se perder a referência de instalação do AP.
Uma forma para determinar a posição do AP é colocá-lo em um canto e após, saindo em
diagonal, realizar uma análise para identificar o ponto limite que oferece a taxa de
transmissão mínima definida. Mover o ponto de acesso para o ponto limite identificado
para criar a primeira área de cobertura. Repetir o processo utilizando os limites da área de
cobertura criada.

4.4 Requisitos de cobertura

Considerar a área de cobertura desejada, se total ou parcial, e identificar as regiões de
sobra que impedem a comunicação. Regiões de sombra de até 10% da área estão dentro
da faixa aceitável.
A sensibilidade do receptor não é o único fator a ser considerado no dimensionamento de
uma rede sem fio. O nível de ruído e a relação sinal/ruído (SNR) também devem ser
considerados.
Ruído é qualquer energia não desejada que venha a interferir na recepção e reprodução
dos sinais. Em condições normais, o nível de ruído ambiental gira em torno de -100 dBm
para a faixa de 2,4 GHz.
Se a SNR for alta a sensibilidade do transmissor dita a taxa de transmissão, caso
contrário, ela será fator limitador. As tabelas a seguir mostram as SNR que devem ser
respeitadas para alcançar as taxas de transmissão das faixas de freqüência de 2,4 GHz e

7
5 GHz. Obs.: estes valores podem variar dependendo do fabricante.

Taxa de transmissão Relação SNR

11 Mbps 15 dB
5,5 Mbps 10 dB
2 Mbps 6 dB
1 Mbps 4 dB
Tabela 2: Tx de transmissão x SNR da faixa de 2,4 GHz

Taxa de transmissão Relação SNR

54 Mbps 21 dB
48 Mbps 20 dB
36 Mbps 16 dB
24 Mbps 12 dB
18 Mbps 9 dB
12 Mbps 7 dB
9 Mbps 5 dB
6 Mbps 4 dB
Tabela 3: Tx de transmissão x SNR da faixa de 5 GHz

Para entender a relação entre taxa de transmissão e SNR, considerar o exemplo:

Em condições normais, para atingir a taxa de transmissão de 11Mbps é necessário uma
SNR de 15 dB. Assim, RSSI = 15 + (-100) = -85 dBm. Então -85 dBm é o nível mínimo
que deve haver no receptor para alcançar a taxa de 11Mbps. Caso o ruído aumente 9
dB, passando para -91 dBm, e o nível de recepção se mantenha, a SNR cai para 6dB,
resultando em uma taxa de transmissão de 2 Mbps.

O melhor indicador para medir a performance de uma rede sem fio é o RSSI (Received
Signal Strength Indication – Indicação de Intensidade do Sinal Recebido), que indica o
nível mínimo que deve haver no receptor para atingir a taxa de transmissão desejada.
O intervalo aceitável de RSSI varia de -60 a -80 dBm. Valores maiores que -55 dBm são
considerados como intensidade excepcional e valores menores que -85 dBm são
considerados de baixa intensidade. O RSSI pode ser calculado da seguinte forma: RSSI =
SNR + Ruído.
Também deve ser verificado a performance de transferência de pacotes entre cliente e AP.
Pelo menos 90% dos pacotes devem ser transmitidos com sucesso para atingir a
performance mínima (10% de perda aceitável).
Caso haja tráfego de voz na rede sem fio deve-se considerar um aumento de 15dB tanto
no RSSI quanto na SNR para evitar degradação na qualidade da voz.
As recomendações para análise da intensidade do sinal para a faixa de freqüência de 5
GHz são as mesmas da faixa de 2,4 GHz. Basta considerar os valores específicos da
faixa de 5 GHz nos cálculos.
Caso seja utilizada antenas externas, deve-se considerar a perda existente nos cabos
coaxiais. Esta perda vai influenciar de forma negativa na intensidade do sinal.
Não há como determinar o alcance do sinal sem realizar a análise do local, pois, as ondas
de rádio são afetadas por diversos componentes. Assim, a análise deve ser realizada em

8
momentos de pico com a presença do maior número de pessoas e objetos, mesmo que
isto traga transtornos momentâneos. Caso contrário, a rede pode se portar de forma
diferente do observado durante a análise.

5.Segurança
Um dos grandes desafios enfrentados por administradores de rede em uma rede sem fio
é a segurança das informações que por ela trafegam. Em redes cabeadas, restrições de
acesso físico previnem que usuários não autorizados se conectem à rede, mas nas redes
sem fio, como o sinal trafega pelo ar e pode extrapolar os limites desejados, uma estação
não autorizada pode obter acesso à rede.
Alguns usuários, na ânsia por acesso móvel, acabam instalando redes sem fio por
iniciativa própria dentro do seu ambiente de trabalho, dado que, na maioria dos casos,
basta ligar o AP, conectá-lo na rede e efetuar algumas configurações no cliente para que
se inicie a utilização da rede sem fio. Nem sempre estes usuários tem conhecimento das
características técnicas e dos requisitos de segurança, desta forma, este tipo de atitude
abre uma brecha para que usuários não autorizados tenham acesso à rede e possam
interceptar as informações que por ela trafegam.

Para sanar estes problemas deve-se preocupar com duas questões: criptografia e
autenticação. Assim, garante-se que somente usuários autorizados terão acesso a rede
sem fio e que as informações serão criptografadas antes de serem enviadas pelo ar.

Diversos mecanismos buscam garantir segurança em redes sem fio, porém, alguns deles
apresentam vulnerabilidades que podem comprometer a segurança enquanto outros são
mais confiáveis. Estes mecanismos oferecem métodos de criptografia e/ou autenticação.
Eles serão apresentados a seguir começando do mais vulnerável para o mais seguro.

5.1 Service Set Identifier (SSID)

O SSID é um mecanismo no qual deve-se identificar a rede sem fio com um nome. Este
nome deve ser compartilhado entre o cliente e o AP. Caso o cliente não possua o SSID,
ele não será capaz de se associar ao AP e não terá acesso à rede.

Geralmente, os APs saem de fábrica com um SSID padrão e ao conectá-lo na rede o

SSID é enviado por broadcast para todos os dispositivos que estiverem dentro da área de
cobertura do AP. Qualquer dispositivo sem fio cliente pode rastrear o ambiente e listar os
SSIDs das redes sem fio existentes.

As redes que utilizam somente este mecanismo de segurança estão sujeitas à invasões,
pois, qualquer dispositivo não autorizado pode rastrear o SSID e acessar a rede. Para não
exibir o SSID, basta desabilitar o seu broadcast no AP e compartilhá-lo somente com os
usuários que terão acesso à rede. Também deve ser trocado o SSID que vem cadastrado
por padrão no AP para dificultar a sua descoberta.

Este mecanismo oferece um nível de segurança extremamente baixo e não deve ser
utilizado como único mecanismo de segurança, pois, mesmo desabilitando o
broadcast no AP, um cliente já conectado à rede transmite o SSID. Sem nenhum método
de criptografia implementado, cria-se uma brecha para que um possível atacante possa
interceptar os pacotes e obter o SSID para ter acesso à rede sem fio.

9
5.2 Autenticação por endereço MAC

Um cliente que deseja se conectar a um AP deve passar pelo processo de autenticação e

associação. O mecanismo de autenticação por endereço MAC permite que seja
construída manualmente no AP uma tabela que permite ou proíbe o acesso dos clientes,
levando em consideração o endereço físico (MAC) do dispositivo. Somente os dispositivos
com permissão presentes na tabela poderão se associar ao AP e terão acesso a rede
sem fio.

Este mecanismo autentica apenas o dispositivo e não autentica o usuário. Assim, caso o
dispositivo caia na mão de um usuário não autorizado, ele poderá ter acesso à rede.
Outro problema é que é fácil forjar o endereço MAC se passando por um dispositivo
autorizado, portanto, este mecanismo também oferece um nível se segurança baixo e
não deve ser utilizado com único mecanismo de segurança. Outro problema é que
em caso de substituição ou falha da placa de rede do dispositivo, o novo endereço MAC
deve ser atualizado no AP.

Assim como no mecanismo anterior, caso nenhum método de criptografia seja

implementado, os dados trafegarão em texto livre possibilitando que um usuário não
autorizado possa interceptá-los.

5.3 WEP (Wired Equivalent Privacy)

O WEP é um mecanismo que provê autenticação e criptografia, e pode ser utilizado

juntamente com a autenticação por endereço MAC, porém, ele possui algumas
deficiências que podem comprometer a segurança da rede sem fio.

No WEP, o cliente e o AP compartilham uma chave secreta estática que deve ser
configurada manualmente e é checada durante o processo de autenticação (os APs
aceitam até quatro chaves). Se o cliente informa uma chave diferente da que se encontra
no AP ele não pode se associar, portanto, não terá acesso à rede. Caso a chave seja
roubada e necessite ser trocada, todos os clientes deverão ter suas chaves alteradas.

O método de verificação da integridade dos dados do WEP utiliza o algoritmo CRC

(Cyclic Redundancy Check). Este algoritmo não foi projetado pensando em segurança,
mas sim em detectar alterações ocorridas devido a ruídos inerentes do canal de
comunicação. No caso da interceptação e alteração dos dados, basta atualizar o CRC
para que o pacote seja considerado como íntegro.

A criptografia no WEP é oferecida pela técnica de criptografia de chave simétrica que

utiliza o algoritmo RC4. O WEP utiliza um vetor de inicialização (VI) de 24 bits para
proteger a chave utilizada no processo de criptografia. Para cada pacote enviado é
gerado um VI que é concatenado à chave, gerando uma chave composta. É baseado
nesta chave que o texto é criptografado e enviado. O VI faz com que o tamanho de chave
passe de 40 bits para 64 bits e de 104 bits para 128 bits, que são os tamanhos permitidos,
porém, o VI é passado em claro para que seja possível realizar a decifragem. De qualquer
forma, quanto maior for o tamanho da chave criptográfica, mais seguro será o processo
de criptografia.

A fragilidade do WEP está justamente no esquema de geração das chaves criptográficas

10
utilizadas pelo RC4. A parte variável da chave (VI), que possui apenas 24 bits e pode se
repetir ao longo do tempo, compromete a chave como um todo.

Estudos recentes demonstraram que é possível a quebra de uma chave

WEP de 128 bits, usando-se menos de 40.000 pacotes com uma
probabilidade de 50%. Para se obter uma taxa de 95% de sucesso
serão necessários 85.000 pacotes. Numa rede 802.11g o número de
pacotes requeridos podem ser obtidos por re-injeção de pacotes em
menos de um minuto. Isto possibilita que um atacante seja capaz de descobrir a
chave e possa decifrar os dados e obter acesso à rede sem fio. Esta vulnerabilidade
torna o protocolo WEP não recomendado para redes institucionais, dado que as
redes sem fio nestes locais ficam disponíveis ininterruptamente, possibilitando o
monitoramento do tráfego por longos períodos. Em redes domésticas ele ainda é
aceitável.

O processo de autenticação e criptografia funciona da seguinte forma:

 O cliente envia uma requisição de autenticação ao AP.
 O AP envia uma resposta que contém um desafio. Os pacotes que compõem a
resposta não são criptografados.
 O cliente recebe o desafio, o criptografa utilizando sua chave WEP e envia o
resultado ao AP.
 O AP criptografa o desafio original que ele enviou ao cliente e o compara com o
resultado recebido. Se os dados forem iguais, o AP aceita o cliente e a
comunicação a partir deste momento passa a ser totalmente criptografada.

5.4 WPA (Wi-Fi Protected Access)

O WPA é um mecanismo de segurança proposto para resolver os diversos problemas

encontrados no WEP. Baseado no padrão 802.11i que ainda não havia sido finalizado, ele
foi desenvolvido pois a indústria não poderia esperar por sua finalização. Por ser uma
subsérie do 802.11i, ele é totalmente compatível com este padrão.

As principais diferenças do WPA para o WEP são:

 Também usa o RC4 para criptografia dos dados, porém, utiliza o protocolo TKIP
para prover maior segurança uma vez que ele implementa uma série de correções
que trabalham em conjunto com o RC4.
 Utiliza um VI de 48 bits. Com este tamanho demoraria cerca de 900 anos para que
o mesmo VI fosse gerado novamente, aumentando consideravelmente a
segurança.
 Utiliza um campo de 64 bits para implementar a verificação da integridade da
mensagem, MIC (Message Integrity Code) chamado as vezes de Michael. o MIC
provê uma função matemática forte projetada para prevenir que um atacante
capture pacotes, altere-os e os retransmita.
 O WPA distribui e deriva automaticamente as chaves que serão utilizadas para a
criptografia dos dados, eliminando o problema do uso de chave estática
compartilhada presente no WEP.

11
O WPA pode trabalhar em dois modos distintos de autenticação, sendo um destinado a
redes domésticas e temporárias e outro destinado a redes corporativas. A seção 3.4.4.1
detalha o funcionamento do WPA em redes domésticas ou temporárias.

Em redes institucionais, o WPA deve trabalhar em conjunto com o padrão 802.1X. Este
padrão define três papéis que são: o solicitante (cliente), o autenticador (AP) e o servidor
de autenticação (geralmente o RADIUS) e é utilizado para comunicação entre AP e
servidor. Com o 802.1X é criada uma estrutura no qual os usuários (cliente e AP)
autenticam-se mutuamente com o servidor de autenticação. A autenticação mútua previne
que clientes se conectem em APs não autorizados na rede.

O 802.1X é baseado no EAP (Extensible Authentication Protocol), que permite que

diferentes métodos de autenticação (senhas, certificados, smart cards, etc) sejam
construídos sobre ele e, consecutivamente, que estes métodos sejam utilizados com o
WPA. O EAP é um protocolo para transporte do tipo de autenticação que for escolhido.
Ele cria uma canal lógico de comunicação entre o cliente e o servidor, por onde as
credenciais irão trafegar. As seções de 3.4.4.2 a 3.4.4.5 especificam os métodos de
autenticação mais comuns do EAP que são utilizados em redes sem fio.

O AP em nenhum momento é responsável pela autenticação, tanto a autenticação do

usuário quanto a do dispositivo é realizada pelo servidor de autenticação. Durante este
processo, o cliente e o AP devem concordar com o método de autenticação que será
utilizado para que a associação seja possível. Quando o cliente solicita uma autenticação,
o AP encaminha as credenciais ao servidor que verifica em sua base de dados se as
credenciais apresentadas são válidas. Se a autenticação for bem sucedida, o servidor
gera e distribui uma chave mestre chamada PMK (Pairwise Master Key) ao AP e ao
cliente utilizando o protocolo EAP.

A PMK não é utilizada para nenhuma operação de segurança, seu objetivo é gerar um
conjunto de chaves chamado PTK (Pairwise Transient Key), que será utilizado para
proteger a comunicação entre dois dispositivos. O PTK é gerado toda vez que um cliente
se associa ao AP. Se a PMK fosse o único fator utilizado para gerar o PTK, as novas
chaves geradas seriam sempre iguais, assim, o PTK é composto pelo endereço MAC do
dispositivo e por um número randômico (nonce) gerado tanto pelo cliente quanto pelo AP.
É necessário então, que o AP e o cliente troquem seus endereços MAC e nonces para
que eles possam gerar PTKs idênticos em cada ponta. O endereço MAC do dispositivo
permite identificar o dispositivo no PTK.

O PTK é formado por quatro sub-chaves de 128 bits, sendo que as duas primeiras são
utilizadas para integridade e criptografia dos dados e as duas últimas para proteger o
processo de troca de informações entre o cliente e o AP, que é realizado em quatro vias
(four-way handshake). Este processo efetua a troca de nonces e endereços MAC entre
cliente e AP para certificar que ambos possuem o mesmo PTK, resultando assim na
confiança mútua entre os dispositivos. Após a confirmação de que os dispositivos
possuem o mesmo PTK, eles iniciam a cifragem dos dados e efetuam a transmissão de
forma segura.

No caso de envio de uma mensagem para diversas estações em broadcast ou multicast,

a utilização do Pairwise Key seria inviável, pois cada estação teria que obter a PMK e
enviar suas informações para geração do PTK. É importante ressaltar que os clientes não

12
podem transmitir em broadcast, somente os APs, porém são os clientes que enviam o
pedido ao AP. Para sanar este problema, foi criado o Group Key que é uma chave
específica para esta função e é conhecida por todas os clientes e pelo AP.

No Group Key também existe uma chave mestre, a GMK (Group Master Key), que é um
número randômico de 256 bits gerado pelo AP. A partir dela é gerado um conjunto de
chaves, o GTK, que será utilizado para criptografia e integridade dos dados. O GTK
possui duas sub-chaves e o AP é responsável por enviá-lo a cada estação que se
associar na rede. Assim, toda mensagem de broadcast ou multicast é criptografada com a
primeira sub-chave e a integridade é verificada pela última.

5.4.1 WPA com PSK (Pre Shared Key)

Em redes domésticas ou temporárias não se justifica a utilização de um servidor de

autenticação, dado que em muitos casos os custos para aquisição e manutenção do
servidor, inviabiliza sua utilização.

O WPA reconhece esta dificuldade e oferece seus benefícios de segurança por meio do
uso de uma chave pré-compartilhada PSK, que proporciona a mesma criptografia do
método TKIP. Assim como no WEP, a chave deve ser digitada manualmente no cliente e
previamente configurada no AP para permitir a autenticação e pode variar de 8 a 63
caracteres ASCII. Apesar do uso do PSK não ser tão robusto quanto o EAP, ela provê
uma alternativa útil para redes domésticas ou temporárias.

A criptografia dos dados funciona da mesma forma como é feita para redes institucionais,
tanto que ainda não foi reportada nenhuma quebra de segurança prática em sistemas que
utilizam WPA, mesmo quando utilizado com PSK. Só que neste caso a chave PMK é a
própria PSK que é configurada diretamente no AP.

Para evitar ataques de dicionário, recomenda-se a utilização de um passphrase de pelo

menos 20 caracteres ao definir a chave PSK.

5.4.2 LEAP (Lightweight Extensible Authentication Protocol)

É um mecanismo de autenticação 802.1X desenvolvido pela Cisco, baseado na utilização

de login e senha. Apesar de ser desenvolvido pela Cisco, outros fabricantes também
implementam este mecanismo de autenticação.

O LEAP deve ser utilizado junto com um servidor de autenticação. Ele possui a função de
autenticação mútua onde o cliente certifica que o AP e o servidor são verdadeiramente
quem eles dizem ser.

Durante o processo de autenticação do LEAP, o cliente tenta associar ao AP que por sua
vez solicita o login do cliente. O cliente informa, o AP encapsula a resposta e repassa a
repassa ao servidor. O servidor inicia um processo de desafio com o cliente. Caso o
desafio seja solucionado corretamente, é enviada uma mensagem de sucesso ao AP
indicando que o cliente foi autenticado. Portanto, o servidor autentica o cliente.

Agora o cliente precisa verificar se o AP e o servidor são realmente quem eles dizem ser.

13
O cliente envia um desafio ao AP que o repassa ao servidor. O servidor deve responder
corretamente o desfio ao cliente para validar a rede e então associar. Em caso de
sucesso, são geradas chaves no cliente e no servidor. O servidor encaminha a chave
dinâmica ao AP para aquele cliente específico. Neste ponto, os dados são cifrados com a
chave do cliente e enviados a ele.

Um problema deste método é que a transação realizada entre o AP e o servidor não é

criptografada criando um ponto de vulnerabilidade no sistema.

5.4.3 PEAP (Protected Extensible Authentication Protocol)

O PEAP é um protocolo de autenticação proposto para proteger a transação de

autenticação com uma conexão TLS segura. Ele oferece autenticação baseada em senha
e exige que o servidor de autenticação possua um certificado digital emitido por uma CA
(Certification Authority), porém não exige um certificado digital no cliente.

Existem dois mecanismos para implementações do PEAP

 PEAP-GTK
 PEAP-MS-CHAPv2
O primeiro permite autenticação genérica para diversas bases incluindo NDS (Novell
Directory Service), LDAP e one-time password (OTP). O segundo permite autenticação
em bases que suportam o MS-CHAPv2, incluindo Microsoft NT e Active Directory. O
primeiro passo para a autenticação é estabelecer o túnel TLS e após deve-se efetuar a
autenticação GTK/MS-CHAPv2 dentro do túnel TLS.

O processo de solicitação do cliente para receber acesso a rede sem fio no EAP,
acontece da seguinte forma:
 O cliente solicita conexão ao AP;
 O cliente tenta se autenticar no servidor usando 802.1x. Como parte da negociação
PEAP, o cliente estabelece uma sessão TLS com o servidor;
 O cliente se autentica no servidor utilizando GTK/MS-CHAPv2. Durante esse
intercâmbio, o tráfego no túnel TLS é visível somente para o cliente e para o
servidor. Ele nunca é exposto ao AP;
 O servidor verifica as credenciais do cliente e caso ele seja autenticado com êxito,
o servidor montará as informações que permitirão decidir se autoriza o cliente a
usar a rede;
 O servidor retransmite a decisão de acesso ao AP. Se o acesso for concedido ao
cliente, o servidor transmitirá a chave mestre ao cliente e ao AP;
 O cliente e o AP compartilharão as informações de chaves que poderão usar para
cifrar e decifrar o tráfego entre eles;
 O AP permite que o cliente se comunique livremente com a rede sem fio;
 O tráfego enviado entre o cliente e o AP é criptografado.

14
 5.4.4 EAP-FAST

EAP-FAST (Flexible Authentication via Secure Tunneling) foi desenvolvido inicialmente

pela Cisco em substituição ao LEAP e acabou virando um padrão do IETF. Ele oferece
todas as características do LEAP além de algumas características adicionais como:
 Diversas possibilidade de autenticação (bases LDAP, autenticação MSCHAPv2).
 Possibilidade de troca e expiração de senha.
 Criação de um túnel para troca das credenciais do cliente entre o AP e o servidor.
O EAP-FAST está menos suscetível a ataques de dicionário e é utilizado quando não é
possível ou não se deseja utilizar um certificado no servidor de autenticação.
O procedimento de autenticação do EAP se baseia em três fases:
 O objetivo da primeira fase é gerar uma chave pré-compartilhada chamada PAC
(Protected Authentication Credential), que deve ser enviada ao cliente para que ele
possa solicitar acesso à rede sem fio. A PAC é gerada a partir de uma chave
mestre que nunca expira. Se a identidade do usuário for válida, o servidor envia a
PAC ao cliente. OBS.: esta etapa é opcional, uma vez que a PAC pode ser
colocada manualmente no cliente.
 Na segunda fase é estabelecida a autenticação mútua entre cliente e servidor e em
seguida é gerado o túnel TLS seguro baseado na PAC presente no cliente.
 Na última fase o servidor autentica as credenciais do cliente que estarão protegidas
pelo túnel TLS criado na segunda fase. O servidor autoriza o acesso do cliente á
rede e todo o tráfego passa a ser criptografado com o EAP-FAST.

5.4.5 EAP-TLS

O EAP-TLS é um padrão IETF (RFC 2716) e um dos métodos mais seguros de EAP para
utilizar com o 802.11X. Ele utiliza o protocolo TLS de certificado para autenticar os
clientes sem fio e o servidor mutuamente, usando métodos de criptografia de alta
segurança e gerando chaves de criptografia usadas para proteger o tráfego sem fio.

O método de autenticação que utiliza o EAP-TLS requer certificados de chave pública. Os

certificados devem ser instalados individualmente em cada cliente da rede sem fio, no AP
e no servidor de autenticação, portanto, cada um deles deverá possuir um certificado
emitido pela CA. Esta característica pode ser uma barreira para a utilização do EAP-TLS
devido a necessidade de possuir uma infra-estrutura de chave-pública (PKI – Public Key
Infrastructure) que é viável apenas em instituições que já possuem outros serviços e
aplicações que utilizam certificados. Portanto, o custo para sua implementação pode ser
muito alto.

A transação para efetuar a autenticação é semelhante ao PEAP, com exceção que após a
autenticação do servidor pelo cliente, o cliente é autenticado pelo servidor utilizando o
certificado do cliente.

15
Neste método não há necessidade de um usuário e senha para autenticação, pois ela
ocorre automaticamente, sem a intervenção do usuário. Porém, durante a renovação do
certificado, todo o procedimento de instalação do certificado deverá ser refeito para que o
cliente possa se autenticar novamente.

As etapas necessárias para autenticação são:

 O cliente em algum momento estabelece as credenciais de certificado com uma CA
antes do acesso à rede sem fio. Isto deve ser efetuado por um método fora de
padrão, como por exemplo, por meio de um disquete ou pela rede cabeada;
 Quando o cliente requer o acesso à rede, ele passa suas credenciais para o AP,
que por sua vez cria um canal restrito que permite a comunicação apenas entre o
cliente e o servidor;
 O servidor valida as credenciais do cliente, e se ele for autenticado com êxito, ele
decide sobre a autorização para acesso à rede sem fio. Ele consulta as diretiva de
acesso para conceder ou negar a autorização ao cliente. Em seguida, o servidor
retransmite ao AP sua decisão.
 Se o acesso for concedido, o servidor transmite a chave mestre do cliente ao AP e
eles passam a compartilhar a mesma informação de chave que serão usadas para
criptografar e decifrar o tráfego entre eles
 O AP estabelece a conexão do cliente à rede sem fio, com o tráfego entre eles
devidamente criptografado.

5.4.6 Comparativo entre os métodos EAP

A tabela a seguir compara os métodos de autenticação EAP:

Mecanismo LEAP EAP-FAST PEAP EAP-TLS
Autenticação mútua SIM SIM SIM SIM
Chave dinâmica SIM SIM SIM SIM
Tecnologia de segurança login/senha login/senha login/senha certificado
Certificado no usuário NÃO NÃO NÃO SIM
Proteção das credenciais NÃO túnel TLS c/ PAC túnel TLS túnel TLS
Suporte WPA SIM SIM SIM SIM

Tabela 4: comparativo dos métodos de autenticação EAP.

5.5 WPA2 (Wi-Fi Protected Access 2)

Atualmente o padrão 802.11i está ratificado e a Wi-Fi Alliance certifica os dispositivos

802.11i sobre o termo WPA2, isto significa que o WPA2 implementa todos os elementos
de segurança introduzidos pelo 802.11i. Resumindo, WPA2 e 802.11i são a mesma coisa.

No WPA2, foi criado um novo protocolo de segurança chamado CCMP (Counter Mode
with Cipher Block Chaining Message Authentication Code Protocol), apesar de ainda ser
possível utilizar o TKIP como um protocolo opcional. O CCMP introduz um novo algoritmo
para cifragem dos dados chamado AES (Advanced Encryption Standard), que é um dos
últimos e mais seguros métodos de cifragem de dados existente.

16
O sistema de chaves utilizado pelo WPA2 é o mesmo do WPA, no entanto, é utilizada
uma única chave para cifragem e verificação da integridade dos dados. Portanto, o PTK é
composto de três sub-chaves e o GTK por apenas uma sub-chave.

Os mecanismos de autenticação são os mesmos utilizados pelo WPA e estão descritos

nas seções de 3.4.4.2 a 3.4.4.5.

Desde 2006, todos os dispositivos que desejam ser certificados como Wi-Fi, ou seja,
receber o selo da Wi-Fi Alliance, devem implementar obrigatoriamente o WPA2.

6.Conclusão

As redes sem fio são um ótimo mecanismo que pode oferecer acesso móvel e
comodidade aos seus usuários, com características semelhante a das redes cabeadas.
Porém, deve-se tomar todas as medidas necessárias que garantam seu perfeito
funcionamento, a autenticidade do usuário e a segurança das informações que trafegam
por este tipo de rede.

Utilize este relatório para obter informações sobre as características das redes sem fio e o
que elas podem oferecer e também como guia para implementar uma rede sem fio que
atenda os requisitos mínimos de segurança desejáveis.

17